वायरस जो केवल रैम में रहते हैं

जीटी को नमस्कार! सभी प्रकार के वायरस का चिड़ियाघर हर साल बढ़ रहा है, कल्पना का लाभ उनके रचनाकारों को कब्जा नहीं करना है। बेशक, एंटीवायरस सफलतापूर्वक सबसे आम मैलवेयर, इसके अलावा, यहां तक ​​कि उनके मुक्त संस्करणों या ओएस में ही निर्मित कई लोगों के साथ सामना करते हैं। हमने सीखा कि लोकप्रिय रैंसमवेयर से कैसे निपटा जाए (कम से कम जानी-मानी एंटी-वायरस कंपनियों की वेबसाइटों पर, डिक्रिप्टिंग या जनरेटिंग कोड के लिए सेवाओं के साथ एक सेक्शन है यदि आप एक वॉलेट या ईमेल जानते हैं जिसके लिए मैलवेयर के लेखक फंड ट्रांसफर करने के लिए कहते हैं)।

साधारण वायरस संक्रमित मशीन पर निशान छोड़ते हैं - कुछ संदिग्ध निष्पादन योग्य फाइलें, लाइब्रेरी फाइलें या दुर्भावनापूर्ण कोड के कुछ बिट्स जो एंटीवायरस या सही व्यवस्थापक का पता लगा सकते हैं। ऐसे निशानों को खोजने और पहचानने से वायरस की पहचान करने में मदद मिलती है, जिसका अर्थ है कि इसे हटाने और परिणामों को कम करने के लिए।

लेकिन तलवार और ढाल का विरोध एक शाश्वत चीज है, और कंप्यूटर मालवेयर उन तक सीमित नहीं है जो ड्राइव पर कुछ निशान छोड़ते हैं। वास्तव में, यदि वायरस स्थित है और हार्ड ड्राइव या एसएसडी को छुए बिना केवल रैम के अंदर कार्य करता है, तो यह उनमें से किसी भी निशान को नहीं छोड़ेगा।



2014 में, तथाकथित रैम मालवेयर के बारे में समाचारों की एक श्रृंखला थी, लेकिन तब यह प्रभावित उपकरणों के बजाय संकीर्ण समूह से संबंधित था - भुगतान टर्मिनलों के लिए।

लेनदेन डेटा को संरक्षित माना जाता है, क्योंकि यह भुगतान प्रणालियों के सर्वर पर एन्क्रिप्टेड रूप में संग्रहीत होता है। लेकिन समय की एक बहुत छोटी अवधि है जिसके दौरान भुगतान के प्राधिकरण के लिए जानकारी सादे पाठ में संग्रहीत की जाती है। इसके अलावा, यह भुगतान टर्मिनल की रैम में संग्रहीत है।

बेशक, यह टुकड़ा हैकर्स के लिए बहुत स्वादिष्ट लग रहा था, बस पास से गुजरना था और दुनिया में आया, रैम पीओएस टर्मिनलों - कार्ड नंबर, पते, सुरक्षा कोड और उपयोगकर्ता नाम से जानकारी एकत्र करना।

और फिर किसी ने आगे जाने का फैसला किया, यह याद करते हुए कि कंप्यूटर में रैम भी है।

राम-केवल

फरवरी 2017, Kaspersky Lab ने एक रिपोर्ट जारी की जिसमें कहा गया था कि इस तरह के मैलवेयर 40 देशों की दूरसंचार कंपनियों, बैंकों और सरकारी एजेंसियों में संक्रमित कंप्यूटर हैं।

इस मामले में मशीन का संक्रमण कैसा है:

• मैलवेयर हार्ड ड्राइव को दरकिनार करते हुए सीधे रैम में पंजीकृत हो जाता है
• इस वजह से, सुरक्षा जांच के दौरान इसका पता नहीं लगाया जा सकता है
• मालवेयर को मेमोरी में रजिस्टर करने के लिए, हमलावरों ने लोकप्रिय प्रशासनिक साधनों का उपयोग किया - पॉवरशेल, मिमिकज़ैट, मेटस्प्लोइट
• डेटा ट्रांसफर के लिए, गैबॉन, मध्य अफ्रीकी गणराज्य और माली जैसे देशों के राष्ट्रीय डोमेन पर बनाई गई साइटों का उपयोग किया गया था। उनके डोमेन की विशेषता यह है कि वे WHOIS जानकारी को सहेजते नहीं हैं, जो इसके नवीकरण की अवधि समाप्त होने के बाद किसी विशेष डोमेन के मालिक हैं। यही है, एक और माइनस किसी भी तरह से हमलावर को ट्रैक करने का एक अवसर है।

साइबर अपराधियों ने सिस्टम प्रशासकों के लॉगिन और पासवर्ड पर डेटा एकत्र करने में कामयाबी हासिल की, जिससे भविष्य में एक संक्रमित मेजबान का प्रशासन संभव हो सका। और यह स्पष्ट है कि संक्रमित कंप्यूटर को नियंत्रित करने की इस क्षमता के साथ, आप बहुत से वैध कार्यों को नहीं कर सकते हैं, लेकिन ऐसे हमलों की मुख्य दिशा एटीएम का "दुहना" है।

ऐसे वायरस को ढूंढना मुश्किल है, क्योंकि अपने सामान्य रूप में वे वास्तव में कोई निशान नहीं छोड़ते हैं। कोई इंस्टॉल किए गए एप्लिकेशन नहीं हैं। सिस्टम या छिपे हुए सहित विभिन्न फ़ोल्डरों में अलग-अलग फाइलें बिखरी हुई नहीं हैं।

लेकिन वे कहीं निशान छोड़ते हैं?

बेशक, अगर वायरस ड्राइव पर कोई निशान नहीं छोड़ता है, तो उनकी तलाश करने का कोई मतलब नहीं है। और फिर क्या? यह सही है - रजिस्ट्री, मेमोरी डंप और नेटवर्क गतिविधि। उसके लिए यह आवश्यक है कि वह किसी भी तरह से खुद को मेमोरी में पंजीकृत कर ले (और इस तरह से मशीन को रिबूट करने के बाद भी ऑपरेटेबल बना रहे), और फिर किसी तरह हमलावर के सर्वर में डेटा ट्रांसफर कर दे।

Kaspersky Lab के विशेषज्ञों ने संक्रमित मशीनों से मेमोरी डंप और रजिस्ट्री प्रविष्टियों का सावधानीपूर्वक विश्लेषण किया, और Mimikatz और Metpreter का उपयोग करके वे हमले का पुनर्निर्माण करने में सक्षम थे।


कोड का एक स्निपेट adobeupdates.sytes [।] नेट से मीटरपरेटर का उपयोग करके डाउनलोड किया गया



मेटस्प्लोइट ढांचे द्वारा उत्पन्न एक स्क्रिप्ट।
मेमोरी की आवश्यक मात्रा को आवंटित करता है, WinAPI का उपयोग करता है और मीटर की उपयोगिता को सीधे रैम में लोड करता है।

क्या यह डर के लायक है

एक ओर - निश्चित रूप से हाँ। वायरस, जो कुछ भी हो सकता है, इसका उद्देश्य आपके कंप्यूटर के काम को अधिक आरामदायक बनाना नहीं है।

दूसरी ओर, यह साधारण वायरस और उतने ही रैंसमवेयर की तरह मजबूत (अभी तक इतना मजबूत नहीं) है। यदि केवल इसलिए कि इस तरह के हमलों का मुख्य लक्ष्य वित्तीय संस्थान हैं, न कि सामान्य उपयोगकर्ता।

लेकिन कौन जानता है कि निकट भविष्य में इस तरह के मैलवेयर कितनी बार बनाए और इस्तेमाल किए जाएंगे।

---

हम आपको याद दिलाते हैं कि वसंत न केवल पेड़ों पर पत्रक पर, बल्कि आपके डेस्क के नीचे सिस्टम इकाइयों पर भी अपडेट होने का एक शानदार अवसर है। विशेष रूप से इसके लिए, पार्टनर स्टोर्स में किंग्स्टन के प्रचार हैं। उदाहरण के लिए, DNS नेटवर्क में 15 अप्रैल तक, आप किंग्स्टन SO-DIMM RAM को छूट पर खरीद सकते हैं, विवरण यहाँ हैं । युलमार्ट में, एक कार्रवाई 18 अप्रैल तक होती है और किंग्स्टन और हाइपरएक्स मेमोरी मॉड्यूल के लिए कंप्यूटर और लैपटॉप के लिए विशेष मूल्य हैं जो किंगम प्रचार कोड का उपयोग करते हैं। और 7 अप्रैल तक सिटीलिंक स्टोर में, एक ही बार में कई प्रकार के रैम पर छूट लागू होती है, और प्रचार कोड - DDR3HX दर्ज करना याद रखना भी महत्वपूर्ण है। तो यह एक नई स्मृति के लिए जल्दी और लाभप्रद रूप से अपग्रेड करने के लिए समझ में आता है।

किंग्स्टन और हाइपरएक्स उत्पादों के बारे में अधिक जानकारी के लिए , कंपनी की आधिकारिक वेबसाइट पर जाएं ।